[Beyond Zero: Enterprise Security for the AI Era]にみるAIをAIで管理する実践論検討
突然ですが、みなさんの開発現場では「AI Agent」がどれくらい動いていますか？「GitHub Copilotがコードを書いてくれる」段階から、今や「AI Agentが自律的にプルリクエストを投げ、テストを回し、デプロイまで判断する」世界がすぐそこまで来ています。そんな中先日こんな論文が投稿されました。
従来の「ゼロトラスト」は、人間やアプリケーションのアイデンティティをベースにしていました。しかし、自律的に動き、秒間何千回ものデータアクセスを行うAI Agentの行動を、従来の静的なファイアウォールやRBAC（役割ベースのアクセス制御）だけで止められるでしょうか。
この論文では、従来のゼロトラストの限界と、AI時代における新たなセキュリティパラダイムが提示されています。
本記事では、この「Beyond Zero」の思想をリスペクトしつつ、我々開発者が現実解としてどう立ち向かうべきか、**「CI/CDサプライチェーンの中にAIによる動的ポリシーチェックを組み込む」**という実践論を検討してみたいと思います。
論文が示す課題：アプリケーション単位の境界の崩壊
論文『Beyond Zero』では、自律型AI Agentの普及とデータアクセスの高速化により、従来の「アプリケーション中心のゼロトラストモデル」が限界を迎えていると指摘されています。
これまでは「認証されたアプリ（または人）だから通信を許可する」という静的な制御が主流でした。しかし、コンテキストによって挙動が変わるAI Agent相手では、「アプリケーション単位の信頼境界」をさらに微細化し、「個々のアクション（メソッドレベル）およびリソース単位」で、なおかつ「マシン速度（リアルタイム）」で動的に評価する必要性があるとされています。
これをエンタープライズ、特に開発パイプライン（CI/CD）のコンテキストに落とし込んだとき、私たちはどのようなアーキテクチャを構想すべきでしょうか。AIの暴走やガバナンス違反を「AI（動的ポリシーエンジン）」で検閲する、具体的な5つのアセットを考えてみました。
AIをAIで管理するための5つの実践アセット
CI/CDの中に動的ポリシーチェックを組み込むにあたり、考慮すべき要素を整理してみました。ここでは、オープンな技術スタックでの実現性を意識したアーキテクチャの種を撒いておきます。
1. AIのためのIDとアクセストークン提供（認証のライフサイクル）
AI Agentが自律的にCI/CDを回す、あるいはパイプライン内でAIが稼働する場合、それ自身に明確な「アイデンティティ（ID）」が必要です。
人間の一時的なトークンを流用するのではなく、AI専用の短寿命なアクセストークンを動的に発行・管理する仕組み（SPIFFE/SPIREのようなワークロードアイデンティティの仕組みの応用など）が求められると考えられます。
2. ハンドシェイク機構としてのID取得の「Skill化」
AI Agentがシステムを利用する際、静的な設定ファイルを持たせるのはセキュリティリスクです。AI Agentが自発的に「私は今から〇〇のタスクを行うので、必要な最小限のID/トークンをください」と、API経由でハンドシェイクする機構が必要です。
これをAIの「Skill（ツール利用機能）」として実装することで、Agent自身がコンテキストに応じて自律的かつ安全に認証を確立するアプローチが面白いのではないかと考えています。
3. MCPファサードによるRBACと検閲機構
ここで注目したいのが、LLMとデータソース/ツールを繋ぐオープン標準である**MCP（Model Context Protocol）**です。
すべてのAIの行動やリクエストを「MCPファサード（仲介層）」に通すことで、背後にある従来のRBAC（役割ベースのアクセス制御）とシームレスに連携させます。さらに、このファサードに「検閲機構（ガードレール）」を仕込むことで、プロンプトインジェクションの検知や、機密データの漏洩（データエクスフィルトレーション）をリアルタイムにブロックする壁として機能させることができるはずです。
4. 動的ポリシーの設計のための「AI知識」
静的な「IP制限」や「許可メソッド一覧」だけでは、AI Agentの予期せぬエッジケースに対応できません。ポリシー自体に「LLMのコンテキスト理解」を組み込む必要があります。
例えば、「このソースコードの変更差分は、組織のセキュリティコンプライアンス第3条に抵触する恐れがあるか？」といった、非構造化データに対するリスク評価をポリシーエンジン側（OPA/RegoにLLM評価をプラグインする形など）に持たせるアプローチです。
近年はエンタープライズアーキテクチャ(EA)を策定する企業も増えており、その強制力について課題視されてるケースも多いですが、EAを文書化し仕組みとして適応するのは実際にはかなり困難です。AIを介すことで動的に変化する複雑なビジネスのニュアンスをキャッチアップできる可能性があるのではないかと考えています。
5. CIサプライチェーンへの「動的ポリシー制御AI」の組み込み
上記の要素を統合するゴールが、CIパイプラインのゲートウェイ化です。
プルリクエストが作成された瞬間、あるいはビルドが走るタイミングで、「動的ポリシー制御AI」がそのパイプライン全体のコンテキスト（誰が、何を、どんなプロンプトベースで実行しようとしているか）を監査します。
従来の静的なリントや脆弱性スキャン（SAST/DAST）に加え、「AIによるインテンション（意図）の動的チェック」をCIのステージとして埋め込むことで、サプライチェーン全体を保護する強力な防壁となります。
まとめ：オープンなエコシステムで創る「Beyond Zero」の未来
『Beyond Zero』が目指す「マシン速度でのアクション単位の拒否・許可」をエンタープライズで実現するには、MCPやOpen Policy Agent（OPA）、そしてTektonやArgo CDといったオープンなクラウドネイティブ技術との融和が不可欠だと私は考えています。
AIはこれからも飛躍的に成長していきます。人間のためのCI/CDはもちろんですが、Beyond Zeroを読んでみてAIのための CI/CDパイプラインとはどういったものになるのか検討してみるのはいかがでしょうか？